2022/1/27 JSAC2022

LuoYu: 新型WinDealerを用いた日本を狙う2021年のスパイ活動
Leon Chang, 丹羽 祐介, 石丸 傑

講演者/共著者 紹介

Leon Chang

丹羽 祐介

石丸 傑

MalwareResearcher@ TeamT5Cybersecurity
Researcher@ ITOCHU CorporationMalware
Researcher@ Kaspersky Lab

His major areas ofresearch include APT
campaign tracking,malware analysis.

He tracks threat trends
including malspam,APT, and CyberCrime.

He conducts research of thelatest threat trends including
APT at a global level.

アジェンダ01

2021年のLuoYuキャンペーンの概要

02

WinDealerの詳細解析

03

事例紹介

04

結論

アジェンダ01

2021年のLuoYuキャンペーンの概要

02

WinDealerの詳細解析

03

事例紹介

04

結論

2021年のLuoYuキャンペーンの概要◆

LuoYu 攻撃グループの概要◆

なぜLuoYuのスパイ活動を調査するのか？

◆

2021年のLuoYuキャンペーンのタイムライン◆

対象地域・業界
日本組織の中国拠点◆ 中国のプライベートバンクのユーザ◆

LuoYu 攻撃グループの概要

名前：蠃魚（LuoYu）◆

中国の神話上の生き物である「羅魚」（LuoYu）◆

蠃魚，魚身而鳥翼，音如鴛鴦，見則其邑大水。

◆翻訳：一対の翼を持つ魚、出現すれば必ず洪水が起こる。

LuoYu
標的産業

マルウェア
ReverseWindow

WinDealer
SpyDealerTechnologyMedia

Education

XDealer
ShadowPad

OriginPlugX

Financial

New updates

標的エリア

Hong Kong Japan

Military Telecom Logistics

New updates

China

China

MOFA

New updates
Korea

TaiwanRussia United State Czech Republic Australia Germany

ゴール
攻撃

攻撃

反体制派からの情報収集

日本企業の中国支社

2021年のLuoYuの活動タイムライン

2021年のLuoYuの活動タイムライン
Case2

Case1
新たなクロスプラットフォーム・バックドア「XDealer」の観測
2021年4月

ReveseWindowのDropperとShadowPad

中国民間銀行のユーザ

2021年8月

2021年12月

5月20212021年9月

Case3

Case4
日系企業の中国支社 (2)

日系企業の中国支社 (1)

2021年8月

XDealerのLinux版

アジェンダ01

2021年のLuoYuキャンペーンの概要

02

WinDealerの詳細解析

03

事例紹介

04

結論

マルウェアプロファイル: WinDealer
カテゴリ

説明

タイプ

モジュール式バックドア

由来

エクスポート機能で文字列の前に "Deal "を付ける

観測開始時期2008

特徴

存在しないURLまたは存在しないドメインから標的のラベル取得

C2- C2コンフィグ- IPアドレス生成アルゴリズム（IPGA）

関連APTグループLuoYuNEW

ハードコードされたWinDealerのバージョン
WinDealerのハードコードされたバージョン情報は、ビルドされた日付から由来◆ バージョン形式：{メインバージョン}.｛年｝.｛月＋日｝◆ 収集サンプルから現在4バージョンを確認。
◆

16.18.1030◆ 17.19.0505◆ 18.19.0628◆ 18.20.1225 NEW◆

ハードコードされたWinDealerのバージョン2016年以前のWinDealerでは、ハードコードされた開発時期をミューテックス文字列として利用◆ バックドアのバージョンを区別するため、ミューテックス文字列を使用◆

WORK_20080729400351362402 → WinDealer 2008
◆ MANAGE_20130831175600761943 → WinDealer 2013◆

WinDealerの進化

WinDealerの進化

NEW

WinDealer2008

中国で人気のあるメッセージングアプリケーションから機密データを収集するよう設計。(15 コマンドを実装)

WinDealer
2013

2013年ではより多数のスパイ機能に対応(26コマンドを実装)
存在しないURLを使用 "http://www.360.cn/status/getsign.asp"

WinDealer
16.18.1030

2016年以降、shadowsocksプロファイルを窃取する機能を含むハードコードされたバージョンが存在。

WinDealer17.19.0505

存在しないURLを "http://www.360.cn/status/getonefile.asp "に変更。

WinDealer18.19.0628

存在しないURLを存在しないドメインに変更。
http://www.microsoftcom/status/getsign.asp、48コマンド対応

WinDealer18.20.1225

WinDealerの最新バージョン

WinDealerの詳細解析

WinDealer詳細解析◆

ステガノグラフィ◆

埋め込み Dll◆

ホスト情報収集

◆

C2通信

◆

WinDealer関連コンポーネント

ステガノグラフィ◆このマルウェアには、セキュリティ製品を回避するためのステガノグラフィ技術を用いた追加モジュールがリソース「Bitmap」に含まれる。
◆res ID:129 暗号化されたDLLMd5:76ba5272a17fdab7521ea21a57d23591

埋め込まれたDLLの復号について
Magic hex(4 bytes)

Size(4 bytes)

XOR Key (10 bytes)

Encrypted
embedded
DLL

WinDealer
EXE

Embedded DLL
XOR (10 bytes key)
AES (16 bytes key)

Encrypted BLOBBLOB検索＆復号方法

検索方法は、画像の先頭から0x3000バイトを加算し、1バイトずつ進めていき、マジック16進パターンを比較して目的の場所を探索◆ 埋め込まれたDLLは10バイトのキーでXORされる◆

埋め込まれたDLLの関数
エクスポート関数名

説明

partInitOpt

組込まれた関数をVFTにマッピングし、メインモジュールから初期化して使用

GetConfigInfo

埋め込まれたマルウェアの設定データをDLLからマッピング

AutoGetSystemInfo

感染端末の情報取得目的で多くのスレッドを作成

レジストリに設定された被害者IDの生成被害者IDフォーマット: MD5("<MACアドレス><Physical_Drive_info><username> ")◆ 特定のレジストリのキーを作成し、生成された被害者IDを保存、次回の実行時に使用◆ 独自のテクニックとして、被害者のIDは生データではなく、マルウェアが4バイトの被害者IDをIPアドレスのように変換して保存◆ホスト情報収集
コンピュータ名◆ ユーザー名◆ CPU情報◆ OSバージョン◆ ネットワークインターフェース◆ 外部IPアドレス◆ ユーザーアカウント◆ スクリーンショット◆

C2コミュニケーション◆

犠牲者のデータを送信する前に、マルウェアはデータにカスタムヘッダーを追加◆

興味深い特徴◆WinDealerのバージョンに基づき、存在しないドメイン／存在しないURLから標的のラベルを取得
http://www.360[.]cn/status/getsign.asp◆ http://www.360[.]cn/status/getonefile.asp◆ NXDOMAIN: http://www[.]microsoftcom/status/getsign.asp◆◆

C2アンチトラッキングの仕組み◆

IPアドレス生成アルゴリズム（IPGA） NEWNEWNXDOMAINから標的のラベルを取得

C2の対追跡メカニズム◆◆◆

IPGA（IP Generation Algorithm）を使用してランダムなC2 IPアドレスを生成(バックドアがC2コンフィグを持っていない場合)
ランダムに生成されたIPは、特定のIPアドレス範囲内に存在◆ 例：113.62.0.0～113.63.255.255または111.120.0.0～111.123.255.255
この仕組みにより、リサーチャが実際のC2 IPアドレスを追跡することが不可能

C2コミュニケーション

カスタムヘッダ

RSA暗号化生成されたAES鍵TCP/UDPソケット

WinDealer

カスタムヘッダ

AES暗号化
TCP/UDPソケット

被害者データC2サーバ

C2通信時のデータフォーマット(初回接続時)
オフセット

説明

例 (hex)

0x00

マジックヘッダ

06 81 da 91 ce c7 9f 43

0x08

生成された犠牲者のID

0x0C

被害者ラベル00または01または020x0D

接続タイプまたはバックドアコマンドID

00 = 初期接続
01 = 初期接続後
その他＝バックドアのコマンドID

0x0E

不明な静的値11または140x0F

不明な静的値00

0x10

暗号化されたデータ＋チェックサム

C2通信暗号化用の16byteAESキー生成RSAで暗号化されたAESキーの送信

AESで暗号化された C2通信

カスタムヘッダ内の1byte コマンド + 0xD

EXEとEmbedded DLLに分かれたバックドア

WinDealer関連コンポーネント◆◆

2013年以降、WinDealerのダウンローダを観測。
さらに古いWindowsカーネルモジュールのダウンローダも発見（2015年~2017年）◆PDB文字列："Z:Downexecdriver¥¥FAT32.pdb"

WinDealer関連コンポーネント◆◆

WinDealerのダウンローダで、正規のドメインを含むが、URLパスが存在しないものを発見 (DNSハイジャックまたはネットワークハイジャック)
ユーザーエージェントは、WinDealer にも登場するユニークな文字列「BBB」

WinDealer
WinDealerダウンローダ＋正規URLWinDealer関連コンポーネント◆◆WinDealerに関連するドロッパ/ローダのサンプルは複数存在
マルウェアのリソース「AAA」には暗号化されたペイロードが内包
res ID:103の暗号化されたペイロード◆

例：マルウェアによるXORでのペイロード復号、復号後ペイロード（WinDealer）のメモリ内へのロードを実行。

復号とロードWinDealerアジェンダ01

2021年のLuoYuキャンペーンの概要

02

WinDealerの詳細解析

03

事例紹介

04

結論

Case Study 1: 偽サイト・偽アプリ◆

中国の個人向けオンラインバンキングアプリになりすましたフィッシングサイトとトロイの木馬型インストーラーを観測

ダウンロードフィッシングサイト(銀行の正規Webページをミラー）接続
バンキングアプリのトロイの木馬型インストーラ

ReverseWindow(Windows,Android)

C2サーバ

Case Study 2: 紛らわしいエラー画像のドロップ
ドロップ＆実行

ReverseWindow
version:
2.2.2006131

接続
C2サーバ

ドロップ＆実行
ReverseWindow
ドロッパ(.error.exe)

ドロッパ削除ドロップ
公開ディレクトリBash スクリプト(C:ProgramData¥u.bat)

デコイ(.Error.jpg)

紛らわしいCase Study 2:
独自バックドアと共有バックドアの組み合わせ◆

LuoYuが最近ShadowPadを使って未知のターゲットを攻撃していることが判明

ReverseWindow
version:
2.2.2006131
C2サーバ

Unknown
targetShadowPad
最新の難読化手法（code scattering）

Case Study 3: 日系企業の中国拠点(1)Ver.18.20.1225
TIM.exe

WinDealer(qbupd.exe)

ターゲット端末

LuoYu

TIM（正規コミュニケーションツール）は、正規のアップデータ先にアクセスしているにもかかわらず、何らかの方法でWinDealer (qbupd.exe)をダウンロード。
C:¥Users¥<UserName>¥AppData¥Roaming¥Microsoft¥Windows¥Start Menu¥Programs¥Startup¥qbupd.exe
スタートアップフォルダにWinDealerを作成後、ターゲットユーザーがホストにログインすると、WinDealerが実行され、盗んだデータを6999/UDPでバックボーンルータに送信Case Study 4: 日系企業の中国拠点(2)Ver. 18.19.0628
YoudaoDict.exe

ターゲット端末

WinDealer(version.dll)

LuoYu

YoudaoDict(正規の辞書アプリ)は、2021年6月末にWinDealer (version.dll) をダウンロードしてからdllサイドロードし、実行。
導入済みのAVはこのバージョンのWinDealerを何度か検出したものの、この組織のAV入替えにより、最終的に被害者のホストは感染してしまった。

関連した公開情報（中国BBS）
2019年2月の中国のブログ記事では、WinDealer関連の感染と実行ファイルの関与が記載
我々は同じファイル名（pptv(plive)_forap_1084_9993.exe）のWinDealerを観測

感染フローの詳細◆

正規EXEは、特定条件下でWinDealerをダウンロードするものと推定

WinDealerの初期感染ベクタとコミュニケーションフロー
正規アプリ

初期感染ベクタターゲット端末

バックボーンルータ(CN)正規アップデートサーバ

WinDealerまたはDropper
Step1：被害者ラベリング目的で存在しないドメインを問い合わせ
Step2：IPGAでバックボーンルータに被害者データ送信

マルウェア
ホストサーバ不可視エリア

感染後・・・

WinDealer
感染端末

LuoYu C2
バックボーンルータ(CN)LuoYu

アジェンダ01

2021年のLuoYuキャンペーンの概要

02

WinDealerの詳細解析

03

事例紹介

04

結論

2021年のLuoYuキャンペーン

ADVERSARY

Capability
◆
◆
◆
◆
◆

SIGINT(N/A)
正規ソフトウェア/アップデータを利用
IPGAによる動的なIPアドレスの生成
DLLサイドローディング
UDPプロトコルでデータ送信◆◆

LuoYu：中国語圏の攻撃者グループ
他の中国APTグループとの連携の可能性

INFRASTRUCTURE◆

TARGET◆◆

標的エリア：東アジア中心に広域（日本企業の中国支社含む）
標的産業：同様に広範(外交・軍事など)

CHINANET-BACKBONE
113.62.0.0/15 or 111.120.0.0/14(ランダム IP アドレス)

LuoYuのTTPs
MITRE ATT&CKマッピング
Tactics

Techniques

Initial Access T1199
Execution

T1059.003

Trusted Relationship:
シギントを活用し、ISPレベルでトラフィックを改ざん

Command and Scripting Interpreter: Windows Command Shell
WinDealerはcmd.exeでパイプを作成します。
Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder
WinDealerは、スタートアップにレジストリの「HKEY_CURRENT_USER_Software¥Windows_Currentversion¥Run」の値を設定

Persistence

DefenseEvasionT1547.001

T1027.002

T1574.002

WinDealerは以下のスタートアップフォルダに作成される。
C:Users<UserName>¥AppData¥Roaming¥Microsoft¥Windows¥Start
Menu¥Programs¥Startup¥qbupd.exe
Obfuscated Files or Information: Software Packing
WinDealerの機能は、EXEとDLLに分かれています。DLLは暗号化された独自のリソースで実装。
WinDealerのサンプルの中には、ハードコードされた文字列やデータが難読化されている。
収集されたデータは、半角の鍵「Y」を用いてXOR処理。
Hijack Execution Flow: DLL Side-Loading:
WinDealerが実行されるDLL 正規のPEファイルによるサイドローディング

LuoYuのTTPs
MITRE ATT&CKマッピング
Tactics

Techniques
T1012

Query Registry:
インストールされたアプリケーションを一覧表示し、設定情報をレジストリに保存

T1016

System Network Configuration Discovery:
WinDealerでは、ネットワークアダプタとそのアドレス一覧を表示

T1016.001

Discovery

System Network Configuration Discovery: Internet Connection Discovery
WinDealerは「http://icanhazip.com/」でパブリックIPを取得。

T1049

System Network Connections Discovery:
WinDealerは、ICMPを使ってLAN内のホストをスキャン

T1057

Process Discovery: WinDealerはプロセスリストを取得

T1082

System Information Discovery: WinDealerは、ホスト名、CPU情報、OSバージョン、macアドレス、ユーザー名を取得。バックドアコマンド「0xD」でキーボードレイアウトを取得。

T1083

File and Directory Discovery: 指定したファイルのファイルリストとメタデータを取得。

T1120

Peripheral Device Discovery: システムのディスク情報やUSBドライブの情報を取得。

T1518

Software Discovery: インストールされているアプリケーション一覧を表示。Skype、QQ、WeChat、wangwangなどのチャットアプリケーションの設定ファイルを取得

LuoYuのTTPs
MITRE ATT&CKマッピング
Tactics

Collection

Command andControl

Exfiltration

Techniques

T1113

Screen Capture:
WinDealerによるスクリーンキャプチャーの取得

T1568

Dynamic Resolution: IPGAを用いたC2 IPの動的生成

T1573.001

Encrypted Channel: Symmetric Cryptography
ECBモードでAES-128により暗号化

T1573.002

Encrypted Channel: Asymmetric Cryptography
WinDealerは、鍵交換の段階でRSA-2048を使用

T1041

Exfiltration Over C2 Channel:
収集データをC2経由で送信このキャンペーンへの対策
◆◆

◆

◆

Cyber Hygiene Matters!
◆ リンクをクリックしたり、ファイルをダウンロードする前に確認すべし。
SIGINTによるマルウェアのダウンロードを防ぐことは非常に困難だが、保護・検出・対処は比較的容易である。
AVの導入、アップデート含むAVの適切な運用と検知アラートの継続的な監視
NW設定：Firewallの暗黙の拒否設定、WFHの場合はホスト側でもWindowsFirewallの設定による不審な通信遮断を推奨。

結論
◆◆

◆

LuoYuは、日本を含む東アジアを中心とした広域かつ広範な業種の企業、及びユーザーに攻撃範囲を広げている。
注目すべきTTPs◆ 複数のプラットフォームを攻撃する能力を持つ◆ 巷で人気のツールの活用（例：ShadowPad、PlugXなど）◆ SIGINT, 水飲み場攻撃などの様々な攻撃ベクターを持つ
2021年のLuoYuのキャンペーンを通して、将来より洗練されたグループに進化する可能性を秘めており、警戒が必要。

参考◆https://jsac.jpcert.or.jp/archive/2021/pdf/JSAC2021_301_shui-leon_en.pdf◆

https://www.fortinet.com/blog/threat-research/chinese-targeted-trojan-analysis◆

https://blogs.jpcert.or.jp/ja/2021/10/windealer.html◆

https://www.shuzhiduo.com/A/8Bz8k3Pxdx/◆

https://bbs.kafan.cn/thread-2157062-1-1.html

IoCs
No Malware Type

VersionFileName

MD518.19.0628

version.dll

6102f77c85541d00b4c3bc95f100febc

18.20.1225

qbupd.exe

D9A6725B6A2B38F96974518EC9E361
AB

318.20.1225

NewsClientPlugin.exe

76ba5272a17fdab7521ea21a57d23591

418.20.1225

RuntimeBroker.exe

cc7207f09a6fe41c71626ad4d3f127ce

12WinDealer

C2
WinDealer

Domain/IP

Remarks

113.62.0.0/15 111.120.0.0/14

Using 55556/TCP, 6999/UDP

221.195.68.71/32
122.112.245.55/32

THANK YOU!
Any Questions?